DE102021208168A1

DE102021208168A1 - Steuervorrichtung für ein Antriebssystem, Antriebssystem, Verfahren

Info

Publication number: DE102021208168A1
Application number: DE102021208168.1A
Authority: DE
Inventors: Volker Gilgenbach; Erik Weissenborn; Martin Hennen; Marco Graf
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2021-07-29
Filing date: 2021-07-29
Publication date: 2023-02-02
Also published as: WO2023006422A1; CN117730479A

Abstract

Die Erfindung betrifft eine Steuervorrichtung (8) für ein Antriebssystem (1), das eine elektrische Maschine (2) aufweist, die durch eine Leistungselektronik (7) mit einem elektrischen Energiespeicher (6) elektrisch verbunden ist, wobei die Steuervorrichtung (8) eine Recheneinheit (12) und mehrere Gate-Treiberschaltungen (13,14) aufweist und dazu ausgebildet ist, bei Erfassen eines Fehlerfalls des Antriebssystems (1) und/oder der Steuervorrichtung (8) einen sicheren Betriebszustand in der Leistungselektronik (7) einzustellen. Es ist vorgesehen, dass die Recheneinheit (12) dazu ausgebildet ist, in Abhängigkeit von einer aktuellen Ist-Drehzahl (nIst) der Maschine (2) eine Steueranweisung zu bestimmen und die Steueranweisung in den Gate-Treiberschaltungen (13,14) zu speichern, und dass die Gate-Treiberschaltungen (13,14) bei Erfassen eines Fehlerfalls den sicheren Betriebszustand gemäß der gespeicherten Steueranweisung einstellen.

Description

Die Erfindung betrifft eine Steuervorrichtung für ein Antriebssystem, das eine elektrische Maschine aufweist, die durch eine Leistungselektronik mit einem elektrischen Energiespeicher elektrisch verbunden ist, wobei die Steuervorrichtung eine Recheneinheit und mehrere Gate-Treiberschaltungen aufweist und dazu ausgebildet ist, bei Erfassen eines Fehlerfalls des Antriebssystems und/oder der Steuervorrichtung einen sicheren Betriebszustand in der Leistungselektronik einzustellen.
Außerdem betrifft die Erfindung ein Antriebssystem mit einer derartigen Steuervorrichtung.
Ferner betrifft die Erfindung ein Verfahren zum Betreiben eines Antriebssystems.
Stand der Technik
Aus dem Stand der Technik sind Antriebssysteme bekannt, die eine elektrische Maschine aufweisen, die durch eine Leistungselektronik mit einem elektrischen Energiespeicher elektrisch verbunden ist. Derartige elektrische Antriebssysteme gewinnen zunehmend an Bedeutung, insbesondere in elektrisch angetriebenen Kraftfahrzeugen. Zur Ansteuerung der Leistungselektronik ist in derartigen Antriebssystemen üblicherweise eine Steuervorrichtung vorhanden, die eine Recheneinheit und mehrere Gate-Treiberschaltungen aufweist.
Aus Sicherheitsgründen wird bei Erfassen eines Fehlerfalls des Antriebssystems und/oder der Steuervorrichtung üblicherweise ein sicherer Betriebszustand in der Leistungselektronik eingestellt. Als sichere Betriebszustände sind beispielsweise ein aktiver Kurzschluss oder ein sogenannter Freilauf bekannt. Bei einem aktiven Kurzschluss werden mittels der Schaltelemente in der Leistungselektronik die Phasenanschlüsse der elektrischen Maschine elektrisch kurzgeschlossen. Bei einem Freilauf hingegen werden alle Schaltelemente der Leistungselektronik geöffnet beziehungsweise nichtleitend geschaltet.
Die Offenlegungsschrift DE 10 2011 081 173 A1 offenbart eine Steuervorrichtung, die den sicheren Betriebszustand in Abhängigkeit von einer aktuellen Ist-Drehzahl der elektrischen Maschine einstellt. Der aktive Kurzschluss ist unabhängig von der Ist-Drehzahl grundsätzlich sicher. Allerdings hat der aktive Kurzschluss bei niedrigen Ist-Drehzahlen den Nachteil, dass die elektrische Maschine beim Schalten in den aktiven Kurzschluss ein hohes Verzögerungsmoment erzeugt. Dies ist in der Regel unerwünscht. Der Freilauf ist bei niedrigen Ist-Drehzahlen grundsätzlich vorteilhaft, hat jedoch bei hohen Ist-Drehzahlen den Nachteil, dass derart hohe elektrische Spannungen in die Phasen der elektrischen Maschine induziert werden können, dass ein Stromfluss aus der elektrischen Maschine in den Energiespeicher resultiert. Ein derartiger Stromfluss und das daraus resultierende Drehmoment sind unerwünscht. Insofern schlägt die Offenlegungsschrift DE 10 2011 081 173 A1 vor, den Freilauf einzustellen, wenn die Ist-Drehzahl eine vorgegebene Schwellendrehzahl unterschreitet, und den aktiven Kurzschluss, wenn die Ist-Drehzahl die Schwellendrehzahl übersteigt.
Offenbarung der Erfindung
Die erfindungsgemäße Steuervorrichtung zeichnet sich mit den Merkmalen des Anspruchs 1 dadurch aus, dass die Recheneinheit dazu ausgebildet ist, in Abhängigkeit von der aktuellen Ist-Drehzahl der Maschine eine Steueranweisung zu bestimmen und die Steueranweisung in den Gate-Treiberschaltungen zu speichern, und dass die Gate-Treiberschaltungen bei Erfassen eines Fehlerfalls den sicheren Betriebszustand gemäß der gespeicherten Steueranweisung einstellen. Die aktuellen Ist-Drehzahlen der Maschine werden typischerweise durch die Recheneinheit ermittelt. Betrifft der erfasste Fehlerfall die Recheneinheit, so stehen die Ist-Drehzahlen entsprechend nicht mehr zur Verfügung und können bei der Entscheidung, welcher sichere Betriebszustand eingestellt werden soll, nicht berücksichtigt werden. In vorbekannten Steuervorrichtungen wird deshalb bei einem Fehlerfall der Recheneinheit stets der aktive Kurzschluss als sicherer Betriebszustand eingestellt. Wie vorstehend erwähnt wurde ist der Freilauf jedoch zumindest bei niedrigen Ist-Drehzahlen der elektrischen Maschine bevorzugt. Durch die erfindungsgemäße Ausgestaltung der Steuervorrichtung wird erreicht, dass auch bei einem die Recheneinheit betreffenden Fehlerfall eine vorteilhafte Auswahl des sicheren Betriebszustands getroffen werden kann. Erfindungsgemäß ist die Recheneinheit dazu ausgebildet, die Steueranweisung in Abhängigkeit von der aktuellen Ist-Drehzahl zu bestimmen und die bestimmte Steueranweisung in den Gate-Treiberschaltungen zu speichern. Tritt nun ein die Recheneinheit betreffender Fehlerfall ein, so können die Gate-Treiberschaltungen unabhängig von der Recheneinheit auf die gespeicherte Steueranweisung zugreifen und den sicheren Betriebszustand gemäß der Steueranweisung einstellen. Vorzugsweise ist die Recheneinheit als Mikrocontroller ausgebildet. Die Gate-Treiberschaltungen sind vorzugsweise jeweils als ASIC (Anwendungsspezifische integrierte Schaltung) ausgebildet. Erfindungsgemäß speichert die Recheneinheit die Steueranweisung in den Gate-Treiberschaltungen. Insofern weisen die Gate-Treiberschaltungen jeweils einen Datenspeicher zum Speichern der Steueranweisung auf. Die Leistungselektronik weist vorzugsweise eine der Anzahl an Phasen der elektrischen Maschine entsprechende Anzahl an Halbbrücken auf, wobei jede Halbbrücke jeweils zumindest einen Highside-Schalter und zumindest einen Lowside-Schalter aufweist. Besonders bevorzugt weist die elektrische Maschine drei Phasen auf, sodass dann die Leistungselektronik drei Halbbrücken umfasst und insofern als B6-Brücke ausgebildet ist. Vorzugsweise entspricht die Anzahl an Gate-Treiberschaltungen der Anzahl an Schaltern der Leistungselektronik. Ist die Leistungselektronik beispielsweise als B6-Brücke ausgebildet, so weist die Steuervorrichtung entsprechend sechs Gate-Treiberschaltungen auf, wobei jede der Gate-Treiberschaltungen einem jeweils anderen der Schalter der Leistungselektronik zugeordnet ist. Vorzugsweise ist die Recheneinheit dazu ausgebildet, laufend aktualisierte Steueranweisungen zu bestimmen und in den Gate-Treiberschaltungen zu speichern. Wird eine aktualisierte Steueranweisung in den Gate-Treiberschaltungen gespeichert, so wird eine bereits in den Gate-Treiberschaltungen gespeicherte Steueranweisung vorzugsweise durch die aktualisierte Steueranweisung ersetzt.
Gemäß einer bevorzugten Ausführungsform ist vorgesehen, dass die Steueranweisung Informationen dazu aufweist, ob als sicherer Betriebszustand der aktive Kurzschluss oder der Freilauf in der Leistungselektronik eingestellt werden soll. Bei dieser Ausführungsform des Verfahrens bestimmt die Recheneinheit also in Abhängigkeit von der aktuellen Ist-Drehzahl, ob als sicherer Betriebszustand der aktive Kurzschluss oder der Freilauf eingestellt werden soll, und legt die Steueranweisung demgemäß fest. Beispielsweise bestimmt die Recheneinheit bei niedrigen Ist-Drehzahlen, dass der Freilauf eingestellt werden soll. Es ergeben sich daraus die mit der Einstellung des Freilaufs einhergehenden Vorteile.
Gemäß einer bevorzugten Ausführungsform ist vorgesehen, dass die Recheneinheit dazu ausgebildet ist, eine Maximal-Drehzahl zu prädizieren, die die Maschine ausgehend von der aktuellen Ist-Drehzahl innerhalb eines vorgegebenen ersten Zeitintervalls maximal erreichen kann, und die Steueranweisung in Abhängigkeit von der prädizierten Maximal-Drehzahl zu bestimmen. Vorzugsweise vergleicht die Recheneinheit die prädizierte Maximal-Drehzahl mit einer vorgegebenen Schwellendrehzahl. Ergibt der Vergleich, dass die Maximal-Drehzahl die Schwellendrehzahl unterschreitet, so legt die Recheneinheit vorzugsweise fest, dass als sicherer Betriebszustand der Freilauf eingestellt werden soll, und bestimmt die Steueranweisung entsprechend. Ergibt der Vergleich jedoch, dass die Maximal-Drehzahl die Schwellendrehzahl übersteigt, so legt die Recheneinheit vorzugsweise fest, dass als sicherer Betriebszustand der aktive Kurzschluss eingestellt werden soll, und bestimmt die Steueranweisung entsprechend. Vorzugsweise wird als erstes Zeitintervall ein Zeitintervall von 50 ms bis 300 ms vorgegeben, besonders bevorzugt ein Zeitintervall von 100 ms bis 200 ms.
Vorzugsweise ist die Recheneinheit dazu ausgebildet, die Maximal-Drehzahl in Abhängigkeit von einem Maximal-Drehmoment der elektrischen Maschine und/oder in Abhängigkeit von einer Masse eines das Antriebssystem aufweisenden Kraftfahrzeugs zu prädizieren. Anhand dieser Parameter ist eine präzise Prädizierung der Maximal-Drehzahl möglich. Der Drehzahlbereich, in dem der Freilauf eingestellt werden soll, deckt sich im Wesentlichen mit dem Grunddrehzahlbereich der Maschine. Insofern wird als Maximal-Drehmoment der Maschine vorzugsweise das Maximal-Drehmoment im Grunddrehzahlbereich zugrunde gelegt. Diese Vorgehensweise entspricht einer vereinfachten worstcase-Betrachtung. Alternativ dazu wird als Maximal-Drehmoment vorzugsweise das Maximal-Drehmoment zugrunde gelegt, das die Maschine in ihrem aktuellen Betriebspunkt maximal erzeugen kann.
Gemäß einer bevorzugten Ausführungsform ist vorgesehen, dass die Steueranweisung eine Zeitdauer aufweist, dass die Gate-Treiberschaltungen bei Erfassen des Fehlerfalls die Zeitdauer starten und als sicheren Betriebszustand den Freilauf in der Leistungselektronik einstellen, und dass die Gate-Treiberschaltungen mit Ablauf der Zeitdauer ausgehend von dem eingestellten Freilauf als sicheren Betriebszustand den aktiven Kurzschluss in der Leistungselektronik einstellen. Gemäß dieser Ausführungsform ermittelt die Recheneinheit also in Abhängigkeit von der aktuellen Ist-Drehzahl die Zeitdauer. Es wird dann bei Erfassen der Fehlfunktion zunächst der Freilauf und mit Ablauf der Zeitdauer der aktive Kurzschluss eingestellt. Dem liegt die Erkenntnis zugrunde, dass der Freilauf auch bei hohen Ist-Drehzahlen zumindest vorübergehend beziehungsweise für die in der Steueranweisung enthaltene Zeitdauer sicher ist. Vorzugsweise bestimmt die Recheneinheit die Zeitdauer derart, dass ausgehend von dem eingestellten Freilauf der aktive Kurzschluss eingestellt wird, bevor unerwünscht hohe elektrische Spannungen in die Phasen der Maschine induziert werden. Vorzugsweise wird die Zeitdauer mit steigenden Ist-Drehzahlen verringert.
Gemäß einer bevorzugten Ausführungsform ist vorgesehen, dass die Gate-Treiberschaltungen jeweils einen Datenspeicher zur Speicherung der Steueranweisung aufweisen, und dass die Recheneinheit durch bidirektionale Kommunikationseinrichtungen mit den Datenspeichern kommunikationstechnisch verbunden ist. Weil die Recheneinheit durch bidirektionale Kommunikationseinrichtungen mit den Datenspeichern verbunden ist, kann die Recheneinheit prüfen, ob die Steueranweisung in den Gate-Treiberschaltungen beziehungsweise den Datenspeichern der Gate-Treiberschaltungen korrekt gespeichert wurde. Vorzugsweise weisen die bidirektionalen Kommunikationseinrichtungen jeweils einen Datenbus, insbesondere UART-Bus, auf. Vorzugsweise ist die Recheneinheit dazu ausgebildet, die Steueranweisung über eine End-to-End-Protection mit Botschaftszähler und/oder Checksumme abzusichern. Falls ein Fehler bei der Speicherung der Steueranweisung erkannt wird, leitet die Recheneinheit vorzugsweise nach Ablauf einer vorgegebenen Entprellzeit eine Sicherheitsreaktion wie beispielsweise eine Warnmeldung oder eine Verringerung der Leistung der elektrischen Maschine ein.
Vorzugsweise weisen die Gate-Treiberschaltungen jeweils eine Sicherheitslogikeinheit zum Überwachen der Recheneinheit auf. Liegt ein die Recheneinheit betreffender Fehlerfall vor, so wird dieser Fehlerfall also durch die Gate-Treiberschaltungen selbst erfasst.
Gemäß einer bevorzugten Ausführungsform ist vorgesehen, dass die Sicherheitslogikeinheiten durch jeweils einen Sicherheits-Steuerpfad mit einem Verstärker der jeweiligen Gate-Treiberschaltung kommunikationstechnisch verbunden sind. Bei dem Verstärker, der auch als Booster bezeichnet wird, handelt es sich um eine Einheit, die dazu ausgebildet ist, ein eingehendes Steuersignal zu verstärken und einen Steueranschluss des zugeordneten Schalters der Leistungselektronik mit dem verstärkten Steuersignal zu beaufschlagen, um den Schalter zu schalten. Vorzugsweise sind die Sicherheitslogikeinheiten mit dem Datenspeicher der jeweiligen Gate-Treiberschaltung kommunikationstechnisch verbunden, sodass die Sicherheitslogikeinheiten auf die in dem Datenspeicher gespeicherte Steueranweisung zugreifen können.
Gemäß einer bevorzugten Ausführungsform ist vorgesehen, dass die Recheneinheit durch jeweils einen Standard-Steuerpfad mit den Verstärkern kommunikationstechnisch verbunden ist, und dass die Sicherheits-Steuerpfade eine höhere Priorisierung aufweisen als die Standard-Steuerpfade. Bei den Standard-Steuerpfaden handelt es sich um die Steuerpfade, durch die die Recheneinheit die Verstärker im fehlerfreien Betrieb der elektrischen Maschine mit pulsweitenmodulierten Steuersignalen beaufschlagt. Weil die Sicherheits-Steuerpfade eine höhere Priorisierung als die Standard-Steuerpfade aufweisen, werden die durch die Sicherheits-Steuerpfade übertragenen Steuersignale durch die Verstärker mit einer höheren Priorität umgesetzt als die durch die Standard-Steuerpfade übertragenen Steuersignale.
Vorzugsweise weist die Steuervorrichtung ein bidirektionales Sicherheits-Kommunikationsnetz auf, wobei das Sicherheits-Kommunikationsnetz einen Knotenpunkt aufweist, mit dem sowohl die Recheneinheit als auch die Sicherheitslogikeinheiten kommunikationstechnisch verbunden sind. Das Sicherheits-Kommunikationsnetz ist bidirektional. Insofern sind die Sicherheitslogikeinheiten und die Recheneinheit durch jeweils zumindest einen bidirektionalen Kommunikationspfad mit dem Knotenpunkt verbunden. Durch ein derartiges Sicherheits-Kommunikationsnetz kann jede der Sicherheitslogikeinheiten sowohl die Recheneinheit als auch die anderen der Sicherheitslogikeinheiten auf Fehlerfälle überwachen. Zudem kann die Recheneinheit den Sicherheitslogikeinheiten durch das Sicherheits-Kommunikationsnetz eine Information bezüglich eines durch die Recheneinheit erfassten Fehlerfalls bereitstellen.
Vorzugsweise weisen die Gate-Treiberschaltungen jeweils eine Niederspannungsseite und eine Hochspannungsseite auf, wobei die Hochspannungsseiten jeweils eine Einheit zur internen Überwachung der jeweiligen Niederspannungsseite aufweisen. Daraus ergibt sich der Vorteil, dass die Gate-Treiberschaltungen selbst einen Fehlerfall erfassen können, der ihre Niederspannungsseite betrifft. Vorzugsweise weisen die Hochspannungsseiten der Gate-Treiberschaltungen zumindest den Teil der Sicherheitslogikeinheiten auf, der durch den Sicherheits-Steuerpfad mit dem jeweiligen Verstärker kommunikationstechnisch verbunden ist. Vorzugsweise weisen die Hochspannungsseiten der Gate-Treiberschaltungen den Datenspeicher auf. Die Hochspannungsseiten werden durch eine elektrische Energiequelle eines Hochspannungsnetzes gespeist. Vorzugsweise handelt sich bei der Energiequelle um den Energiespeicher, der durch die Leistungselektronik mit der elektrischen Maschine elektrisch verbunden ist. Die Niederspannungsseiten werden durch eine Energiequelle eines Niederspannungsnetzes gespeist. Beispielsweise handelt es sich bei der Energiequelle um einen weiteren elektrischen Energiespeicher, dessen Nennspannung geringer ist als die Nennspannung des Energiespeichers, der durch die Leistungselektronik mit der elektrischen Maschine elektrisch verbunden ist.
Das erfindungsgemäße elektrische Antriebssystem weist eine elektrische Maschine auf, die durch eine Leistungselektronik mit einem elektrischen Energiespeicher elektrisch verbunden ist. Das Antriebssystem zeichnet sich mit den Merkmalen des Anspruchs 12 durch die erfindungsgemäße Steuervorrichtung zum Ansteuern der Leistungselektronik aus. Auch daraus ergeben sich die bereits genannten Vorteile. Weitere bevorzugte Merkmale und Merkmalskombinationen ergeben sich aus der Beschreibung sowie aus den Ansprüchen.
Das erfindungsgemäße Verfahren zum Betreiben eines elektrischen Antriebssystems, das eine elektrische Maschine, die durch eine Leistungselektronik mit einem elektrischen Energiespeicher elektrisch verbunden ist, und eine Steuervorrichtung zum Ansteuern der Leistungselektronik aufweist, wobei die Steuervorrichtung eine Recheneinheit und mehrere Gate-Treiberschaltungen aufweist, zeichnet sich mit den Merkmalen des Anspruchs 13 dadurch aus, dass die Recheneinheit in Abhängigkeit von einer aktuellen Ist-Drehzahl der Maschine eine Steueranweisung bestimmt und die Steueranweisung in den Gate-Treiberschaltungen speichert, dass das Antriebssystem auf Fehlerfälle überwacht wird, und dass die Gate-Treiberschaltungen bei Erfassen eines Fehlerfalls den sicheren Betriebszustand gemäß der gespeicherten Steueranweisung einstellen. Auch daraus ergeben sich die bereits genannten Vorteile. Weitere bevorzugte Merkmale und Merkmalskombinationen ergeben sich aus der Beschreibung sowie aus den Ansprüchen.
Gemäß einer bevorzugten Ausführungsform des Verfahrens ist vorgesehen, dass die Steueranweisung Informationen dazu aufweist, ob als sicherer Betriebszustand ein aktiver Kurzschluss oder ein Freilauf in der Leistungselektronik eingestellt werden soll, dass die Recheneinheit eine Maximal-Drehzahl prädiziert, die die Maschine ausgehend von der aktuellen Ist-Drehzahl innerhalb eines vorgegebenen ersten Zeitintervalls maximal erreichen kann, und die Steueranweisung in Abhängigkeit von der prädizierten Maximal-Drehzahl bestimmt, dass bei Erfassen eines die Recheneinheit betreffenden Fehlerfalls ein zweites Zeitintervall gestartet wird, das kürzer als das erste Zeitintervall ist, und dass die Gate-Treiberschaltungen nach Ablauf des zweiten Zeitintervalls als sicheren Betriebszustand den aktiven Kurzschluss programmieren. Beispielsweise wird als zweites Zeitintervall ein Zeitintervall von 20 bis 250 ms vorgegeben. Die Recheneinheit prädiziert die Maximal-Drehzahl, die die Maschine ausgehend von der aktuellen Ist-Drehzahl innerhalb des ersten Zeitintervalls maximal erreichen kann, und bestimmt die Steueranweisung anhand dieser Maximal-Drehzahl. In bestimmten Situationen, beispielsweise wenn das Kraftfahrzeug, das das Antriebssystem aufweist, einen Hang hinab beschleunigt, kann jedoch die Drehzahl der Maschine weiter ansteigen. In diesem Fall ist es unerwünscht, dass ein ursprünglich eingestellter Freilauf beibehalten wird. Betrifft der Fehlerfall nicht die Recheneinheit, so kann die Recheneinheit weiterhin die Ist-Drehzahl überwachen und gegebenenfalls den aktiven Kurzschluss einstellen. Betrifft der Fehlerfall jedoch die Recheneinheit, so ist diese Möglichkeit nicht gegeben. In diesem Fall ist es zur Vermeidung eines Stromflusses aus der Maschine in den Energiespeicher vorteilhaft, dass nach Ablauf des zweiten Zeitintervalls als sicherer Betriebszustand der aktive Kurzschluss programmiert beziehungsweise eingestellt wird.
Im Folgenden wird die Erfindung anhand der Zeichnungen näher erläutert. Dazu zeigen

1 ein Antriebssystem,
2 eine Steuervorrichtung des Antriebssystems und
3 ein Verfahren zum Betreiben des Antriebssystems,
4 Teilaspekte des Verfahrens und
5 ein weiteres Verfahren zum Betreiben des Antriebssystems.

1 zeigt ein Antriebssystem 1 eines nicht näher dargestellten Kraftfahrzeugs in einer vereinfachten Darstellung. Das Antriebssystem 1 weist eine elektrische Maschine 2 auf. Die elektrische Maschine 2 weist einen drehbar gelagerten Rotor 3 auf, an dem mehrere Permanentmagneten 4 drehfest angeordnet sind. Die elektrische Maschine 2 weist außerdem eine Motorwicklung 5 mit vorliegend drei Phasen U, V und W auf. Die Motorwicklung 5 ist derart verteilt um den Rotor 3 angeordnet, dass der Rotor 3 durch eine geeignete Bestromung der Phasen U, V und W drehbar ist.
Das Antriebssystem 1 weist außerdem einen elektrischen Energiespeicher 6 auf. Die Motorwicklung 5 ist durch eine Leistungselektronik 7 des Antriebssystems 1 mit dem Energiespeicher 6 elektrisch verbunden. Die Leistungselektronik 7 weist vorliegend eine der Anzahl an Phasen U, V und W entsprechende Anzahl an Halbbrücken auf, die jeweils zumindest einen Lowside-Schalter und zumindest einen Highside-Schalter aufweisen. Entsprechend weist die Leistungselektronik vorliegend drei Halbbrücken auf.
Das Antriebssystem 1 weist außerdem eine Steuervorrichtung 8 auf. Die Steuervorrichtung 8 ist dazu ausgebildet, die Schalter der Leistungselektronik 7 anzusteuern beziehungsweise zu schalten. Der konkrete Aufbau der Steuervorrichtung 8 wird im Folgenden mit Bezug auf 2 näher erläutert.
Am rechten Rand der 2 ist eine Halbbrücke 9 der Leistungselektronik 7 dargestellt. Wie aus 2 ersichtlich ist weist die Halbbrücke 9 einen Highside-Schalter 10 und einen Lowside-Schalter 11 auf. Die übrigen beiden Halbbrücken entsprechen im Hinblick auf ihre Ausgestaltung der in 2 ersichtlichen Halbbrücke 9.
Die Steuervorrichtung 8 weist eine Recheneinheit 12 auf. Die Recheneinheit 12 ist vorliegend als Mikrocontroller 12 ausgebildet.
Die Steuervorrichtung 8 weist außerdem eine der Anzahl an Schaltern der Leistungselektronik 7 entsprechende Anzahl an Gate-Treiberschaltungen auf, wobei jedem der Schalter eine jeweils andere der Gate-Treiberschaltungen zugeordnet ist. Die Gate-Treiberschaltungen sind jeweils als ASIC ausgebildet. In 2 sind lediglich zwei der Gate-Treiberschaltungen dargestellt, nämlich eine dem Highside-Schalter 10 zugeordnete erste Gate-Treiberschaltung 13 sowie eine dem Lowside-Schalter 11 zugeordnete zweite Gate-Treiberschaltung 14. Zusätzlich zu den Gate-Treiberschaltungen 13 und 14 sind noch weitere Gate-Treiberschaltungen vorhanden, die den Schaltern der in 2 nicht dargestellten Halbbrücken der Leistungselektronik 7 zugeordnet sind.
Im Folgenden wird der Aufbau der ersten Gate-Treiberschaltung 13 erläutert. Die Gate-Treiberschaltungen sind jedoch im Hinblick auf ihre konstruktiven Merkmale im Wesentlichen gleich ausgebildet. Insbesondere unterscheiden sich die Gate-Treiberschaltungen nur dahingehend, dass sie hinsichtlich ihrer Konfiguration an den Schalter angepasst sind, den sie ansteuern. Im Hinblick auf die erste Gate-Treiberschaltung 13 offenbarte konstruktive Merkmale sind demnach auch in den anderen Gate-Treiberschaltungen verwirklicht.
Die erste Gate-Treiberschaltung 13 weist eine Niederspannungsseite 15A und eine Hochspannungsseite 16A auf. Zwischen der Niederspannungsseite 15A und der Hochspannungsseite 16A ist eine Potenzialbarriere 17A angeordnet.
Die Hochspannungsseite 16A weist einen Verstärker 18A auf. Der Verstärker 18A ist durch einen Steuerpfad 19A mit einem Steueranschluss des Highside-Schalters 10 elektrisch verbunden.
Die Recheneinheit 12 ist durch einen Standard-Steuerpfad 60A mit dem Verstärker 18A kommunikationstechnisch verbunden. Der Standard-Steuerpfad 60A weist einen ersten Standard-Steuerteilpfad 20A auf, durch den die Recheneinheit 12 mit einer GTR-Logikeinheit 21A der Niederspannungsseite 15A kommunikationstechnisch verbunden ist. Der Standard-Steuerpfad 60A weist außerdem einen zweiten Standard-Steuerteilpfad 22A auf, durch den die GTR-Logikeinheit 21A mit dem Verstärker 18A kommunikationstechnisch verbunden ist. Die Recheneinheit 12 beaufschlagt den Verstärker 18A im Betrieb des Antriebssystems 1 mittels des Standard-Steuerpfads 60A mit pulsweitenmodulierten Steuersignalen. Der Verstärker 18A verstärkt die pulsweitenmodulierten Steuersignale und beaufschlagt den Steueranschluss des Highside-Schalters 10 mit den verstärkten, pulsweitenmodulierten Steuersignalen, um den Highside-Schalter 10 zu schalten.
Die Hochspannungsseite 16A weist außerdem einen Datenspeicher 23A auf. Die Recheneinheit 12 ist durch eine bidirektionale Kommunikationseinrichtung 24A mit dem Datenspeicher 23A kommunikationstechnisch verbunden. Die bidirektionale Kommunikationseinrichtung 24A weist vorliegend einen Datenbus 25A und einen Zwischenspeicher 26A auf. Der Datenbus 25A und der Zwischenspeicher 26A sind Teil der Niederspannungsseite 15A. Die Recheneinheit 12 ist durch zwei Kommunikationspfade 27A, 28A der Kommunikationseinrichtung 24A mit dem Datenbus 25A kommunikationstechnisch verbunden. Der Datenbus 25A ist zudem durch einen bidirektionalen Kommunikationspfad 29A mit dem Zwischenspeicher 26A kommunikationstechnisch verbunden. Der Zwischenspeicher 26A ist durch einen bidirektionalen Kommunikationspfad 30A mit dem Datenspeicher 23A kommunikationstechnisch verbunden.
Die erste Gate-Treiberschaltung 13 weist außerdem eine Sicherheitslogikeinheit 31A auf. Die Sicherheitslogikeinheit 31A weist einen niederspannungsseitigen Teil 32A und einen hochspannungsseitigen Teil 33A auf. Der niederspannungsseitige Teil 32A und der hochspannungsseitige Teil 33A sind durch einen bidirektionalen Kommunikationspfad 34A miteinander kommunikationstechnisch verbunden. Der hochspannungsseitige Teil 33A ist zudem durch einen Kommunikationspfad 35A mit dem Datenspeicher 23A kommunikationstechnisch verbunden. Außerdem ist der hochspannungsseitige Teil 33A durch einen Sicherheits-Steuerpfad 36A mit dem Verstärker 18A kommunikationstechnisch verbunden. Der Sicherheits-Steuerpfad 36A weist eine höhere Priorisierung auf als der Standard-Steuerpfad 60A.
Die Steuervorrichtung 8 weist außerdem ein bidirektionales Sicherheits-Kommunikationsnetz 37 auf. Das Sicherheits-Kommunikationsnetz 37 weist einen Knotenpunkt 38 auf. Der niederspannungsseitige Teil 33A der Sicherheitslogikeinheit 31A der Gate-Treiberschaltung 13 ist durch einen bidirektionalen Kommunikationspfad 39A mit dem Knotenpunkt 38 kommunikationstechnisch verbunden. Auch die niederspannungsseitigen Teile der Sicherheitslogikeinheiten der anderen Gate-Treiberschaltungen sind durch jeweils einen bidirektionalen Kommunikationspfad 39 mit dem Knotenpunkt 38 kommunikationstechnisch verbunden. Die Recheneinheit 12 ist durch einen bidirektionalen Kommunikationspfad 40 mit dem Knotenpunkt 38 kommunikationstechnisch verbunden.
Die Steuervorrichtung 8 weist außerdem eine Watchdog-Einheit 41 auf. Watchdog-Einheiten sind aus dem Stand der Technik bekannt und werden eingesetzt, um bei einem Programmabsturz eines Microcontrollers einen Reset des Microcontrollers auszulösen. Die Watchdog-Einheit 41 ist durch einen Kommunikationspfad 42 mit einem Knotenpunkt 43 des Kommunikationspfads 40 verbunden. Der Kommunikationspfad 42 weist eine Diode 44 auf, die in Richtung der Watchdog-Einheit 41 leitend ist. Der Knotenpunkt 43 ist außerdem durch einen Kommunikationspfad 45 mit der Recheneinheit 12 verbunden. Der Kommunikationspfad 45 weist eine Diode 46 auf, die in Richtung der Recheneinheit 12 leitend ist.
Die Niederspannungsseite 15A weist außerdem eine Spannungsversorgungsüberwachungseinheit 47A auf. Die Spannungsversorgungsüberwachungseinheit 47A ist mit dem niederspannungsseitigen Teil 32A der Sicherheitslogikeinheit 31A durch einen Kommunikationspfad 48A kommunikationstechnisch verbunden. Zudem ist die Spannungsversorgungsüberwachungseinheit 47A durch einen Versorgungspfad 49A mit der Watchdog-Einheit 41 kommunikationstechnisch verbunden.
Die Hochspannungsseite 16A weist eine Einheit 50A zur internen Überwachung der Niederspannungsseite 15A auf. Die Einheit 50A ist durch einen Kommunikationspfad 51A mit der Niederspannungsseite 15A kommunikationstechnisch verbunden. Zudem ist die Einheit 50A durch einen Kommunikationspfad 52A mit dem hochspannungsseitigen Teil 33A der Sicherheitslogikeinheit 31A kommunikationstechnisch verbunden.
Die Hochspannungsseite 16A weist außerdem eine OTP-Einheit 53A auf. Bei einer OTP-Einheit handelt es sich um ein programmierbares elektronisches Bauelement, das einen nicht flüchtigen Datenspeicher aufweist, der nur einmal beschrieben werden kann. Die OTP-Einheit 53A ist durch einen Kommunikationspfad 54A mit dem hochspannungsseitigen Teil 33A der Sicherheitslogikeinheit 31A kommunikationstechnisch verbunden.
Im Folgenden wird mit Bezug auf die 3 und 4 ein vorteilhaftes Verfahren zum Betreiben des Antriebssystems 1 näher erläutert. Hierzu zeigt 3 das Verfahren anhand eines Flussdiagramms. 4 zeigt Teilaspekte des Verfahrens anhand eines Diagramms. Es wird dabei davon ausgegangen, dass sich die elektrische Maschine 2 zumindest zunächst im Betrieb befindet. Die Motorwicklung 5 wird also derart bestromt, dass sich der Rotor 3 zur Erzeugung eines Drehmomentes dreht.
In einem ersten Schritt S1 ermittelt die Recheneinheit 12 laufend die aktuelle Ist-Drehzahl n_Ist des Rotors 3 der elektrischen Maschine 2. Beispielsweise ermittelt die Recheneinheit 12 die Ist-Drehzahl n_Ist in Abhängigkeit von einem Sensorsignal eines dem Rotor 3 zugeordneten Drehwinkelsensors.
In einem zweiten Schritt S2 ermittelt die Recheneinheit 12 in Abhängigkeit von einem vorgegebenen ersten Zeitintervall FHTI einen maximal möglichen Drehzahlgradienten Δn_FHTImax. Bei dem Drehzahlgradienten Δn_FHTI,max handelt es sich um das Drehzahlintervall, um das die Ist-Drehzahl n_Ist der elektrischen Maschine 2 während des ersten Zeitintervalls FHTI höchstens gesteigert werden kann.
Vorliegend ermittelt die Recheneinheit 12 den Drehzahlgradienten Δn_FHTI,max mittels der Formel F = m * α, wobei m_Fhzg die Masse des Kraftfahrzeugs beschreibt, und wobei M_max,EM das Maximal-Drehmoment der elektrischen Maschine 2 im Grunddrehzahlbereich beschreibt: Aus $F_{m a x, R a d} = \frac{M_{m a x, R a d}}{r_{R a d}}$
und $a_{m a x, F h z g} = \frac{M_{m a x, E M} * i}{r_{R a d} * m_{F h z g}}$
folgt aufgrund des
kinematischen Zusammenhangs $a_{F h z g} = r_{R a d} \frac{d ω_{r a d}}{d t} = 2 π r_{R a d} = \frac{d ƒ_{R a d}}{d t} = \frac{2 π r_{R a d}}{i} * \frac{d ƒ_{E M}}{d t} .$
Die Änderung der Frequenz der Maschine 2 wird linear approximiert gemäß $\frac{d ƒ_{E M}}{d t} \approx \frac{Δ n_{F H T I, m a x}}{F H T I} .$
Somit kann über die nachfolgenden Formeln der maximal mögliche Drehzahlgradient Δn_FHTI,max ermittelt werden: $a_{m a x, F h z g} = \frac{2 π r_{R a d}}{i} * \frac{Δ n_{F H T I, m a x}}{F H T I}$
$Δ n,_{F H T I, m a x} = \frac{a_{m a x, F h z g * i * F H T I}}{2 π r_{R a d}}$
In einem dritten Schritt S3 prädiziert die Recheneinheit 12 eine Maximal-Drehzahl n_pred, die die Maschine 2 bis Ablauf des ersten Zeitintervalls FHTI maximal erreichen kann. Hierzu berechnet die Recheneinheit 12 die Summe aus der aktuellen Ist-Drehzahl n_Ist und dem Drehzahlgradienten Δn_FHTImax. Auch der Schritt S3 wird laufend durchgeführt.
In einem vierten Schritt S4 vergleicht die Recheneinheit 12 die prädizierte Maximal-Drehzahl n_pred mit einer vorgegebenen Schwellen-Drehzahl n_FW,max.
In einem fünften Schritt S5 bestimmt die Recheneinheit 12 eine Steueranweisung. Die Steueranweisung enthält Informationen dazu, ob bei einem Fehlerfall des Antriebssystems 1 als sicherer Betriebszustand ein aktiver Kurzschluss oder ein Freilauf in der Leistungselektronik 7 eingestellt werden soll. Ergibt der Vergleich in dem Schritt S4, dass die Maximal-Drehzahl n_pred die Schwellen-Drehzahl n_FW,max unterschreitet, so legt die Recheneinheit 12 fest, dass als sicherer Betriebszustand der Freilauf eingestellt werden soll, und bestimmt die Steueranweisung entsprechend. Ergibt der Vergleich jedoch, dass die Maximal-Drehzahl n_pred die Schwellen-Drehzahl n_FW,max übersteigt, so legt die Recheneinheit 12 fest, dass als sicherer Betriebszustand der aktive Kurzschluss eingestellt werden soll, und bestimmt die Steueranweisung entsprechend.
In einem sechsten Schritt S6 speichert die Recheneinheit 12 die bestimmte Steueranweisung mittels der bidirektionalen Kommunikationseinrichtungen 24 in den Datenspeichern 23. Die Übertragung der Steueranweisung wird dabei über eine End-to-End-Protection mit Botschaftszähler und Checksumme abgesichert. Zudem prüft die Recheneinheit 12, ob die Steueranweisung korrekt in den Datenspeichern 23 gespeichert wurde. Wird durch die Recheneinheit 12 ein Fehler im Hinblick auf die Speicherung der Steueranweisung erkannt, so leitet die Recheneinheit 12 nach Ablauf einer Entprellzeit eine geeignete Sicherheitsreaktion wie beispielsweise eine Warnmeldung oder eine Verringerung der Leistung der elektrischen Maschine ein.
Auch die Schritte S5 und S6 werden laufend durchgeführt, sodass laufend aktualisierte Steueranweisungen bestimmt und in den Datenspeichern 23 gespeichert werden.
In einem siebten Schritt S7 überwacht die Steuervorrichtung 8 das Antriebssystem 1 auf Fehlerfälle. Die Überwachung wird dabei durch verschiedene Elemente der Steuervorrichtung 8 durchgeführt.
Beispielsweise überwacht die Recheneinheit 12 die Phasen U, V und W und die Leistungselektronik 7 auf Fehlerfälle.
Die niederspannungsseitigen Teile 32 der Sicherheitslogikeinheiten 31 überwachen die Recheneinheit 12, die Watchdog-Einheit 41 und die jeweils anderen Gate-Treiberschaltungen mittels des Sicherheits-Kommunikationsnetzes 37 auf Fehlerfälle. Beispielsweise stellen die niederspannungsseitigen Teile 32 einen Fehlerfall eines der vorstehend genannten Elemente fest, wenn das betreffende Element mittels des Sicherheits-Kommunikationsnetzes 37 ein unerwartetes Signal bereitstellt, oder wenn ein erwartetes Signal des betreffendes Elementes ausbleibt.
Die niederspannungsseitigen Teile 32 überwachen zudem die Spannungsversorgungsüberwachungseinheiten 47 auf Fehlerfälle. Beispielsweise erfasst der niederspannungsseitige Teil 32A einen Fehlerfall der Spannungsüberwachungseinheit 47A, wenn die Spannungsüberwachungseinheit 47A mittels des Kommunikationspfads 48A ein unerwartetes Signal bereitstellt, oder wenn ein erwartetes Signal ausbleibt.
Die Einheiten 50 überwachen die Niederspannungsseiten 15 auf Fehlerfälle. Beispielsweise erfasst die Einheit 50A einen Fehlerfall der Niederspannungsseite 15A, wenn die Niederspannungsseite 50A mittels des Kommunikationspfads 51A ein unerwartetes Signal bereitstellt, oder wenn ein erwartetes Signal ausbleibt.
Wird in dem Schritt S7 ein Fehlerfall erfasst, so wird in einem Schritt S8 den hochspannungsseitigen Teilen 33 der Sicherheitslogikeinheiten 31 eine Information bezüglich des Erfassens des Fehlerfalls bereitgestellt.
Die hochspannungsseitigen Teile 33 rufen dann in einem Schritt S9 die in den Datenspeichern 23 aktuell gespeicherte Steueranweisung ab.
In einem zehnten Schritt S10 steuern die hochspannungsseitigen Teile 33 die Verstärker 18 mittels der Sicherheits-Steuerleitungen 36 derart an, dass der sichere Betriebszustand gemäß der abgerufenen Steueranweisung in der Leistungselektronik 7 eingestellt wird.
Betrifft der in dem Schritt S7 erfasste Fehlerfall die Recheneinheit 12, so starten die Sicherheitslogikeinheiten 31 in einem elften Schritt S11 ein vorgegebenes zweites Zeitintervall. Beispielsweise starten die Sicherheitslogikeinheiten 31 das zweite Zeitintervall mit Erfassen des die Recheneinheit 12 betreffenden Fehlerfalls. Das zweite Zeitintervall ist kürzer als das erste Zeitintervall. Beispielsweise beträgt das zweite Zeitintervall 20 ms bis 250 ms.
In einem zwölften Schritt S12 rufen die hochspannungsseitigen Teile 33 der Sicherheitslogikeinheiten 31 eine in den OTP-Einheiten 53 abgespeicherte zweite Steueranweisung ab. Die zweite Steueranweisung enthält Informationen dazu, wie der durch die jeweilige Gate-Treiberschaltung angesteuerte Schalter geschaltet werden soll, damit in der Leistungselektronik 7 der aktive Kurzschluss eingestellt wird.
Mit Ablauf des zweiten Zeitintervalls steuern die hochspannungsseitigen Teile 33 der Sicherheitslogikeinheiten 31 mittels der Sicherheits-Steuerleitungen 36 die Verstärker 18 in einem dreizehnten Schritt S13 gemäß der zweiten Steueranweisung an. Wurde in dem Schritt S10 der Freilauf eingestellt, so wird in dem Schritt S13 ausgehend von dem Freilauf dann der aktive Kurzschluss in der Leistungselektronik 7 eingestellt.
5 zeigt ein weiteres Verfahren zum Betreiben des Antriebssystems 1.
In einem ersten Schritt V1 ermittelt die Recheneinheit 12 laufend die aktuelle Ist-Drehzahl n_Ist des Rotors 3 der elektrischen Maschine 2. Dieser Schritt V1 entspricht dem Schritt S1 des in 3 dargestellten Verfahrens.
In einem zweiten Schritt V2 bestimmt die Recheneinheit 12 eine Steueranweisung, die eine Zeitdauer aufweist. Die Recheneinheit 12 bestimmt die Zeitdauer dabei in Abhängigkeit von der aktuellen Ist-Drehzahl n_Ist. Vorzugsweise wird die Zeitdauer bei einer Erhöhung der Ist-Drehzahl n_Ist verringert.
In einem dritten Schritt V3 speichert die Recheneinheit 12 die bestimmte Steueranweisung mittels der bidirektionalen Kommunikationseinrichtungen 24 in den Datenspeichern 23. Dieser Schritt V3 entspricht dem Schritt S6 des in 3 dargestellten Ausführungsbeispiels.
Die Schritte V4 bis V6 entsprechen den Schritten S7 bis S9 des in 3 dargestellten Ausführungsbeispiels. Bezüglich dieser Schritte V4 bis V6 wird auf die vorstehenden entsprechenden Textpassagen verwiesen.
In einem siebten Schritt V7 steuern die hochspannungsseitigen Teile 33 die Verstärker 18 mittels der Sicherheits-Steuerleitungen 36 derart an, dass als sicherer Betriebszustand der Freilauf in der Leistungselektronik 7 eingestellt wird. Zudem starten die Sicherheitslogikeinheiten 31 in dem siebten Schritt V7 die in der abgerufenen Steueranweisung enthaltene Zeitdauer.
In einem achten Schritt V8 steuern die hochspannungsseitigen Teile 33 die Verstärker 18 mittels der Sicherheits-Steuerleitungen 36 derart an, dass ausgehend von dem zunächst eingestellten Freilauf der aktive Kurzschluss in der Leistungselektronik 7 eingestellt wird.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

DE 102011081173 A1 [0006]

Claims

Steuervorrichtung für ein Antriebssystem (1), das eine elektrische Maschine (2) aufweist, die durch eine Leistungselektronik (7) mit einem elektrischen Energiespeicher (6) elektrisch verbunden ist, wobei die Steuervorrichtung (8) eine Recheneinheit (12) und mehrere Gate-Treiberschaltungen (13,14) aufweist und dazu ausgebildet ist, bei Erfassen eines Fehlerfalls des Antriebssystems (1) und/oder der Steuervorrichtung (8) einen sicheren Betriebszustand in der Leistungselektronik (7) einzustellen, dadurch gekennzeichnet, dass die Recheneinheit (12) dazu ausgebildet ist, in Abhängigkeit von einer aktuellen Ist-Drehzahl (n_Ist) der Maschine (2) eine Steueranweisung zu bestimmen und die Steueranweisung in den Gate-Treiberschaltungen (13,14) zu speichern, und dass die Gate-Treiberschaltungen (13,14) bei Erfassen eines Fehlerfalls den sicheren Betriebszustand gemäß der gespeicherten Steueranweisung einstellen.
Steuervorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die Steueranweisung Informationen dazu aufweist, ob als sicherer Betriebszustand ein aktiver Kurzschluss oder ein Freilauf in der Leistungselektronik (7) eingestellt werden soll.
Steuervorrichtung nach Anspruch 2, dadurch gekennzeichnet, dass die Recheneinheit (12) dazu ausgebildet ist, eine Maximal-Drehzahl (n_pred) zu prädizieren, die die Maschine (2) ausgehend von der aktuellen Ist-Drehzahl (n_Ist) innerhalb eines vorgegebenen ersten Zeitintervalls (FHTI) maximal erreichen kann, und die Steueranweisung in Abhängigkeit von der prädizierten Maximal-Drehzahl (n_pred) zu bestimmen.
Steuervorrichtung nach Anspruch 3, dadurch gekennzeichnet, dass die Recheneinheit (12) dazu ausgebildet ist, die Maximal-Drehzahl (n_pred) in Abhängigkeit von einem Maximal-Drehmoment (M_max,EM) der Maschine (2) und/oder in Abhängigkeit von einer Masse (m_Fhzg) eines das Antriebssystem (1) aufweisenden Kraftfahrzeugs zu prädizieren.
Steuervorrichtung nach Anspruch 1, dadurch gekennzeichnet, dass die Steueranweisung eine Zeitdauer aufweist, dass die Gate-Treiberschaltungen (13,14) bei Erfassen des Fehlerfalls die Zeitdauer starten und als sicheren Betriebszustand den Freilauf in der Leistungselektronik (7) einstellen, und dass die Gate-Treiberschaltungen (13,14) mit Ablauf der Zeitdauer ausgehend von dem eingestellten Freilauf als sicheren Betriebszustand den aktiven Kurzschluss in der Leistungselektronik (7) einstellen.
Steuervorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Gate-Treiberschaltungen (13,14) jeweils einen Datenspeicher (23) zum Speichern der Steueranweisung aufweisen, und dass die Recheneinheit (12) durch bidirektionale Kommunikationseinrichtungen (24) mit den Datenspeichern (23) kommunikationstechnisch verbunden ist.
Steuervorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Gate-Treiberschaltungen (13,14) jeweils eine Sicherheitslogikeinheit (31) zum Überwachen der Recheneinheit (12) aufweisen.
Steuervorrichtung nach Anspruch 7, dadurch gekennzeichnet, dass die Sicherheitslogikeinheiten (31) durch jeweils einen Sicherheits-Steuerpfad (36) mit einem Verstärker (18) der jeweiligen Gate-Treiberschaltung (13,14) kommunikationstechnisch verbunden sind.
Steuervorrichtung nach Anspruch 8, dadurch gekennzeichnet, dass die Recheneinheit (12) durch jeweils einen Standard-Steuerpfad (60) mit den Verstärkern (18) kommunikationstechnisch verbunden ist, und dass die Sicherheits-Steuerpfade (36) eine höhere Priorisierung aufweisen als die Standard-Steuerpfade (60).
Steuervorrichtung nach einem der Ansprüche 7 bis 9, gekennzeichnet durch ein bidirektionales Sicherheits-Kommunikationsnetz (37), das einen Knotenpunkt (38) aufweist, mit dem sowohl die Recheneinheit (12) als auch die Sicherheitslogikeinheiten (31) kommunikationstechnisch verbunden sind.
Steuervorrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Gate-Treiberschaltungen (13,14) jeweils eine Niederspannungsseite (15) und eine Hochspannungsseite (16) aufweisen, wobei die Hochspannungsseiten (16) jeweils eine Einheit (50) zur internen Überwachung der jeweiligen Niederspannungsseite (15) aufweisen.
Elektrisches Antriebssystem, aufweisend eine elektrische Maschine (2), die durch eine Leistungselektronik (7) mit einem elektrischen Energiespeicher (6) elektrisch verbunden ist, gekennzeichnet durch eine Steuervorrichtung (8) gemäß einem der vorhergehenden Ansprüche zum Ansteuern der Leistungselektronik (7).
Verfahren zum Betreiben eines elektrischen Antriebssystems (1), wobei das Antriebssystem (1) eine elektrische Maschine (2), die durch eine Leistungselektronik (7) mit einem elektrischen Energiespeicher (6) elektrisch verbunden ist, und eine Steuervorrichtung (8) zum Ansteuern der Leistungselektronik (7) aufweist, wobei die Steuervorrichtung (7) eine Recheneinheit (12) und mehrere Gate-Treiberschaltungen (13,14) aufweist, wobei die Recheneinheit (12) in Abhängigkeit von einer aktuellen Ist-Drehzahl (n_Ist) der Maschine (2) eine Steueranweisung bestimmt und in den Gate-Treiberschaltungen (13,14) speichert, wobei das Antriebssystem (1) auf Fehlerfälle überwacht wird, und wobei die Gate-Treiberschaltungen (13,14) bei Erfassen eines Fehlerfalls den sicheren Betriebszustand gemäß der gespeicherten Steueranweisung einstellen.
Verfahren nach Anspruch 13, dadurch gekennzeichnet, dass die Steueranweisung Informationen dazu aufweist, ob als sicherer Betriebszustand ein aktiver Kurzschluss oder ein Freilauf in der Leistungselektronik (7) eingestellt werden soll, dass die Recheneinheit (12) eine Maximal-Drehzahl (n_pred) prädiziert, die die Maschine (2) ausgehend von der aktuellen Ist-Drehzahl (n_Ist) innerhalb eines vorgegebenen ersten Zeitintervalls (FHTI) maximal erreichen kann, und die Steueranweisung in Abhängigkeit von der prädizierten Maximal-Drehzahl (n_pred) bestimmt, dass bei Erfassen eines die Recheneinheit (12) betreffenden Fehlerfalls ein zweites Zeitintervall gestartet wird, das kürzer als das erste Zeitintervall (FHTI) ist, und dass die Gate-Treiberschaltungen (13,14) nach Ablauf des zweiten Zeitintervalls als sicheren Betriebszustand den aktiven Kurzschluss programmieren.